Préparer un audit RGPD : les preuves réglementaires à réunir

Le RGPD est la seule réglementation européenne qui inverse la charge de la preuve. Ce n'est pas à l'autorité de prouver que vous n'êtes pas conforme — c'est à vous de prouver que vous l'êtes. Cet article liste les documents concrets que vous devez avoir sous la main le jour du contrôle.

Le principe d'accountability : pourquoi « on est conforme » ne suffit pas

L'article 5.2 du RGPD pose un principe unique dans le droit européen : le responsable de traitement « est responsable du respect [des principes] et est en mesure de démontrer que ceux-ci sont respectés ». Ce mot — « démontrer » — change tout. En droit classique, vous êtes présumé conforme jusqu'à preuve du contraire. Avec le RGPD, vous êtes présumé non-conforme jusqu'à preuve du contraire.

En pratique, cela signifie qu'avoir des bonnes pratiques ne suffit pas. Vous devez pouvoir produire des preuves documentées de ces bonnes pratiques. Traiter les données de façon loyale ? Documentez-le. Limiter la collecte au strict nécessaire ? Documentez-le. Sécuriser les données ? Documentez-le. Le jour du contrôle, l'agent de la CNIL ne vous croira pas sur parole — il veut voir des documents, des registres, des procédures datées et signées.

C'est exactement la même logique qu'un audit ISO : ce qui n'est pas documenté n'existe pas aux yeux de l'auditeur. La bonne nouvelle, c'est que si vous avez déjà une culture d'audit (ISO 9001, ISO 27001), vous avez déjà les réflexes documentaires nécessaires. Il ne reste qu'à les appliquer aux exigences spécifiques du RGPD.

Les trois types de preuves RGPD

Les preuves attendues en audit RGPD se classent en trois catégories distinctes, et vous avez besoin des trois.

Les documents de gouvernance prouvent que vous avez défini des règles : politique de confidentialité, politique de sécurité des données, procédure de gestion des violations, procédure de gestion des droits des personnes. Ce sont vos engagements formalisés — l'équivalent de la politique qualité en ISO 9001.

Les registres et cartographies prouvent que vous connaissez votre périmètre : registre des activités de traitement (article 30), inventaire des sous-traitants, cartographie des flux de données, registre des violations. Ce sont vos « cartes » — ils montrent que vous savez ce que vous faites avec les données personnelles.

Les preuves opérationnelles prouvent que vos règles sont appliquées au quotidien : consentements effectivement recueillis, DPA signés avec vos sous-traitants, analyses d'impact réalisées pour les traitements à risque, attestations de formation des collaborateurs, logs de gestion des demandes de droits. Ce sont vos « preuves de terrain » — les plus difficiles à reconstituer après coup, et les plus convaincantes pour un auditeur.

Inventaire complet des preuves à constituer

Voici les pièces que la CNIL — ou un auditeur RGPD interne/externe — s'attend à trouver dans votre dossier de conformité. Chaque pièce est rattachée à l'article du RGPD qui la fonde, avec son niveau de priorité.

Comment organiser physiquement votre dossier RGPD

Avoir tous ces documents est une chose. Les retrouver en 30 secondes le jour du contrôle en est une autre. La CNIL peut demander des pièces par courrier (vous avez 10 jours pour répondre) ou sur place (vous avez quelques minutes). Dans les deux cas, un dossier bien structuré fait la différence entre une inspection fluide et une situation de crise.

Structurez votre dossier RGPD en miroir des obligations du règlement. Concrètement, regroupez vos preuves en 5 grandes sections : gouvernance et organisation (qui pilote, quel est le périmètre, quelle est la stratégie), registre et cartographie (que faites-vous avec les données), droits des personnes (comment vous informez et répondez), sécurité et sous-traitance (comment vous protégez), et conformité continue (comment vous maintenez le niveau dans le temps — formations, audits internes, revues).

Chaque section doit contenir à la fois les documents de référence (politiques, procédures) et les preuves d'application (registres remplis, DPA signés, logs de demandes traitées). Un auditeur qui voit une belle procédure de gestion des droits mais aucune preuve d'application réelle sera plus suspicieux que celui qui voit une procédure simple mais appliquée trois fois dans l'année avec des traces documentées.

Les 5 erreurs qui affaiblissent votre dossier RGPD

Le registre « figé ». Vous avez créé un registre des traitements en 2019 lors de votre mise en conformité initiale. Depuis, vous avez ajouté un CRM, changé de prestataire d'emailing, lancé un programme de fidélité — mais le registre n'a pas bougé. Un registre qui ne correspond plus à la réalité est pire qu'un registre absent : il prouve que votre processus de conformité n'est pas vivant. Mettez une date de dernière mise à jour visible, et effectuez une revue au moins annuelle.

Les DPA « dans un tiroir ». Vous avez fait signer des DPA à vos principaux sous-traitants il y a trois ans. Depuis, vous avez changé de sous-traitant pour l'hébergement, ajouté un outil analytics, et connecté une API de paiement. Ces nouveaux prestataires n'ont pas de DPA. En audit, le contrôleur vérifiera votre liste de sous-traitants actuelle et demandera le DPA de chacun — pas juste de ceux que vous aviez en 2023.

Le consentement « invérifiable ». Votre formulaire d'inscription comporte une case à cocher. Mais quand l'auditeur demande "pouvez-vous me prouver que Jean Dupont a consenti le 15 mars 2025 à recevoir vos newsletters ?", vous ne pouvez pas produire la preuve. Pas d'horodatage, pas de log, pas de capture de ce qui était affiché au moment du consentement. Sans preuve technique du recueil, le consentement est juridiquement contestable.

La procédure « théorique ». Votre procédure de gestion des violations fait 12 pages et couvre tous les cas. Parfait. Mais avez-vous déjà fait un exercice ? Vos équipes savent-elles qui contacter en cas d'incident ? Avez-vous les coordonnées de la CNIL prêtes pour une notification sous 72h ? Un auditeur expérimenté posera des questions opérationnelles : "Si je vous dis qu'un employé a envoyé un fichier client au mauvais destinataire il y a une heure, que faites-vous concrètement ?" Si personne ne sait répondre, la procédure est cosmétique.

L'absence de traçabilité des décisions. Vous avez décidé que le traitement X repose sur l'intérêt légitime plutôt que le consentement. Pourquoi ? Quand ? Qui a pris cette décision ? Si vous ne pouvez pas montrer la documentation de cette décision (une note interne, un PV de réunion, un avis du DPO), l'auditeur considérera que la base légale n'a pas été réfléchie. Le RGPD exige une approche documentée et justifiée — chaque choix significatif doit laisser une trace.

L'importance de la traçabilité dans les documents RGPD

Le RGPD est un règlement qui repose sur la confiance vérifiable. Ce n'est pas suffisant qu'un document existe — il faut pouvoir prouver qui l'a rédigé, qui l'a approuvé, et quand il est entré en vigueur. Un DPA non daté et non signé n'a aucune valeur probante. Une politique de confidentialité sans date de publication ne prouve pas qu'elle existait au moment de la collecte des données.

C'est pourquoi les workflows de validation prennent tout leur sens dans un contexte RGPD. Quand votre politique de confidentialité passe par un circuit d'approbation formel — rédaction par le DPO, validation par le juridique, approbation par la direction — vous créez automatiquement la preuve que ce document a été examiné par les bonnes personnes avant sa publication. L'auditeur voit que la politique n'est pas un copier-coller d'internet, mais un document réfléchi et validé par votre organisation.

De même pour les DPA : un DPA généré depuis un template, validé par le juridique via un workflow, puis signé électroniquement par le sous-traitant avec un horodatage serveur, constitue une preuve beaucoup plus solide qu'un PDF échangé par email dont on ne sait plus quelle version est la finale. La traçabilité n'est pas un bonus — c'est le cœur de l'accountability.

Comment structurer votre dossier RGPD dans Charta

Charta n'est pas un outil de conformité RGPD spécialisé (comme un OneTrust ou un Didomi). Mais il résout un problème que ces outils ne couvrent pas : la gestion documentaire de votre dossier RGPD. Concrètement, c'est l'endroit où vivent vos politiques, vos DPA, vos procédures, vos preuves de formation, et où vous pouvez retrouver n'importe quelle pièce en quelques secondes.

Un Hub "Conformité RGPD" regroupe tous les documents transverses : registre des traitements, politique de confidentialité, PSSI, procédure de violation, procédure de droits, plan de formation. C'est votre dossier de référence — celui que vous ouvrez quand la CNIL appelle.

Les DPA liés aux fiches fournisseurs. Chaque DPA est rattaché au contact du sous-traitant concerné. Quand l'auditeur demande "montrez-moi le DPA de votre hébergeur", vous allez sur la fiche du fournisseur et le DPA est là — signé, horodaté, avec son workflow d'approbation complet. Vous pouvez aussi utiliser la catégorie "DPA" pour afficher en un clic tous vos contrats de sous-traitance à travers tous vos fournisseurs et vérifier qu'aucun ne manque.

Les workflows pour les politiques à valider. Votre politique de confidentialité doit être approuvée avant publication. Votre procédure de violation doit être relue annuellement. Votre registre doit être mis à jour quand un nouveau traitement est ajouté. Un workflow formalise ces circuits : rédaction → validation DPO → approbation direction. Chaque approbation est horodatée et constitue votre preuve d'accountability.

La structure de dossiers pour les preuves opérationnelles. Créez un dossier "Preuves RGPD" avec des sous-dossiers par année : attestations de formation 2026, demandes de droits traitées 2026, incidents 2026. Même vides, ces dossiers prouvent que le processus existe. Quand une preuve arrive (un émargement de formation, une réponse à une demande d'accès), elle est classée au bon endroit immédiatement — pas reconstituée en urgence avant le contrôle.

Le calendrier de maintenance du dossier RGPD

Un dossier RGPD n'est jamais « fini ». C'est un organisme vivant qui doit être maintenu. Voici les actions récurrentes qui garantissent que votre dossier sera toujours prêt — pas seulement le jour où vous décidez de faire un audit interne.

Ce calendrier peut sembler lourd, mais chaque action prise au fil de l'eau représente 5 à 15 minutes de travail. Le même travail effectué en urgence avant un contrôle représente des semaines de reconstitution — avec le risque de ne pas tout retrouver. La conformité RGPD, comme la qualité, est un processus continu, pas un projet ponctuel.

Checklist : êtes-vous prêt pour un contrôle CNIL ?

Les 6 premiers points sont les « fondamentaux » — un contrôle CNIL qui révèle des manquements sur ces points entraînera quasi systématiquement une mise en demeure. Les points 7 à 12 sont des marqueurs de maturité — leur présence rassure l'auditeur et raccourcit le contrôle. Si vous devez prioriser, commencez par les 6 premiers.

Questions fréquentes

Articles liés

Gestion documentaire · Workflows de validation · Signature électronique